Was ist EDR?

Endpoint Detection and Response (EDR) ist eine Kategorie von Cybersicherheitssoftware, die Endgeräte – Laptops, Smartphones, Server und IoT-Geräte – kontinuierlich auf Anzeichen einer Kompromittierung überwacht, diese Telemetriedaten zu Warnmeldungen verknüpft und Sicherheitsteams die Werkzeuge an die Hand gibt, um eine Bedrohung zu untersuchen und einzudämmen, bevor sie sich ausbreitet.

Die wichtigsten Erkenntnisse

• EDR überwacht Endgeräte kontinuierlich und meldet verdächtiges Verhalten in Echtzeit.
• Es fasst Telemetriedaten zusammen, damit Teams Bedrohungen schnell untersuchen und eindämmen können.
• Zu den führenden Anbietern zählen CrowdStrike, Microsoft Defender und SentinelOne.
• Versa überträgt die EDR-Risikobewertungen in einheitliche Risikoprofile der Unternehmen für die Richtlinien.
• Endpunkte mit hohem Risiko können isoliert, blockiert oder zur eingehenderen Überprüfung weitergeleitet werden.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · EDR & Versa · Häufig gestellte Fragen

Warum ist EDR wichtig?

Perimeter-Schutzmaßnahmen wie Firewalls und Antivirenprogramme halten bekannte Bedrohungen am Netzwerkrand auf, doch Angreifer, die diese Abwehrmechanismen umgehen – sei es durch Phishing, gestohlene Zugangsdaten oder einen Zero-Day-Exploit –, können sich frei bewegen, sobald sie einen Endpunkt erreicht haben, es sei denn, es gibt eine Überwachung von innen heraus. EDR schließt diese Lücke: Es überwacht das Prozessverhalten, Dateiänderungen und Netzwerkverbindungen direkt auf dem Gerät selbst und erkennt so Techniken, die niemals einen signaturbasierten Alarm auslösen würden.

Die Bedeutung zeigt sich in der Reaktionszeit. Ohne Transparenz auf Endpunkt-Ebene kann ein Sicherheitsvorfall Tage oder Wochen lang unentdeckt bleiben, bevor jemand ungewöhnliche Datenbewegungen oder lateralen Datenverkehr bemerkt. EDR verkürzt dieses Zeitfenster, indem es Endpunkt-Telemetriedaten zu einem einheitlichen Risikobild korreliert und Analysten die Werkzeuge an die Hand gibt – Gerät isolieren, Prozess beenden, Änderung rückgängig machen –, um sofort zu handeln. Für Unternehmen, die ihre Sicherheit in die Cloud verlagern, werden EDR-Daten zudem zu einer Informationsquelle, auf die andere Systeme reagieren können, wodurch der Sicherheitsstatus der Endgeräte auf Netzwerk- und Zugriffsrichtlinien ausgeweitet wird, anstatt ihn isoliert auf dem Gerät zu belassen.

Was ist EDR?

Eine EDR-Plattform führt auf jedem geschützten Endpunkt einen schlanken Agenten aus, der Prozessaktivitäten, Änderungen am Dateisystem, Registrierungsänderungen und Netzwerkverbindungen aufzeichnet und diese Telemetriedaten anschließend an eine Analyse-Engine in der Cloud oder vor Ort überträgt. Die Engine wendet Verhaltensanalysen und Bedrohungsinformationen auf den Datenstrom an, kennzeichnet Anomalien und weist dem Endpunkt eine Risiko- oder Bedrohungsbewertung zu.

Wenn EDR böswillige Aktivitäten erkennt, gibt es nicht nur eine Warnung aus – es reagiert auch. Je nach Konfiguration kann dies bedeuten, dass ein böswilliger Prozess automatisch beendet, eine Datei unter Quarantäne gestellt, der Endpunkt vom Netzwerk isoliert oder die von einem Angreifer vorgenommenen Änderungen rückgängig gemacht werden. Analysten erhalten zudem einen durchsuchbaren Verlauf der Endpunkt-Ereignisse, wodurch die Reaktion auf Vorfälle nicht mehr auf Vermutungen beruht, sondern anhand einer Zeitachse erfolgt: Was wurde ausgeführt, worauf hatte es Zugriff und wohin wollte es als Nächstes gelangen?

Arten von EDR

EDR wird in verschiedenen Modellen eingesetzt. Standalone-EDR läuft als eigener Agent, der sich ausschließlich auf Erkennung und Reaktion konzentriert und in der Regel zusätzlich zu einem separaten Antivirenprodukt eingesetzt wird. EDR innerhalb einer EPP-Suite bündelt Erkennung und Reaktion in einer umfassenderen Endpoint Protection Platform, die auch Virenschutz, Gerätesteuerung und die Erstellung von Anwendungs-Whitelists abdeckt – das heute gängigere Modell in Unternehmen. Bei „Managed Detection and Response“ (MDR) werden Überwachung und Triage an ein externes Security-Operations-Team ausgelagert, das die EDR-Telemetriedaten überwacht und im Namen des Kunden reagiert. „Extended Detection and Response“ (XDR) erweitert den Blickwinkel noch weiter, indem Endpunktdaten mit Netzwerk-, Cloud- und Identitäts-Telemetriedaten in einer einzigen Erkennungs-Engine korreliert werden, anstatt den Endpunkt isoliert zu betrachten.

EDR & Versa

Versa ersetzt EDR nicht – es nutzt es. Über „Configure Endpoint Detection and Response“ lässt sich Concerto direkt in CrowdStrike, Microsoft Defender und SentinelOne integrieren und fragt in konfigurierbaren Intervallen die API des jeweiligen Anbieters ab, um die Risikodaten des Endpunkts abzurufen.

Dieses EDR-Signal fließt in ein einheitliches Risikoprofil (Unified Entity Risk Profile) ein, wo ein Administrator es zusammen mit Daten aus dem Schwachstellenmanagement und der Verhaltensanalyse gewichtet, um einen zusammengesetzten Risikowert pro Endpunkt zu ermitteln, der von „vertrauenswürdig“ bis „hohes Risiko“ reicht. Versa Advanced Security Cloud berechnet diesen Wert und leitet ihn an die Gateways von „ SASE “ weiter.

Sicherheits- und Zugriffsrichtlinien wirken sich dann direkt auf den Score aus. Wie unter „Konfigurieren von einheitlichen Risikoscores“ beschrieben, kann ein hoher Risiko- oder Verdachtsscore die Verbindung eines Geräts zum „ SASE “-Gateway unterbinden, zusätzliche Prüfungen wie IPS-Scans oder DLP auslösen oder den Zugriff auf nicht webbasierte private Anwendungen wie RDP und SSH verweigern – wodurch der Endpunktstatus zu einer Echtzeit-Netzwerkrichtlinie wird und nicht nur als isolierter Alarm in der EDR-Konsole verbleibt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen EDR und Antiviren-Software?

Herkömmliche Antivirenprogramme vergleichen Dateien mit Signaturen bekannter Malware und blockieren alles, was sie als solche erkennen. EDR hingegen überwacht das Verhalten der Endgeräte kontinuierlich, erkennt dabei Techniken – wie beispielsweise „Living-off-the-Land“-Angriffe –, die niemals mit einer Signatur übereinstimmen, und stellt Analysten Tools zur Verfügung, um nach der Erkennung Untersuchungen durchzuführen und entsprechend zu reagieren.

Was ist der Unterschied zwischen EDR und XDR?

EDR analysiert ausschließlich Telemetriedaten von Endgeräten. XDR (Extended Detection and Response) korreliert diese Endgerätedaten mit Telemetriedaten aus dem Netzwerk, der Cloud und dem Identitätsbereich in einer einzigen Erkennungs-Engine und tauscht damit die Detailtiefe von EDR auf Geräteebene gegen einen Überblick über die gesamte Umgebung ein.

Mit welchen EDR-Anbietern lässt sich „ Versa “ integrieren?

Versa Versa lässt sich in CrowdStrike, Microsoft Defender und SentinelOne integrieren. Die Risikodaten oder Gesamtbewertungen der einzelnen Anbieter können in ein einheitliches Entitätsrisikoprofil von einfließen und als Grundlage für Richtlinien zum sicheren Zugriff und zum Internetschutz herangezogen werden.

Welche Lizenz ist für die EDR-Integration in „ Versa “ erforderlich?

Für die Risikobewertung, einschließlich der EDR-Integration, ist eine „ Versa Secure Private and Internet Access (VSPIA)“- oder eine „ Versa Secure Access Fabric (VSAF) Professional“-Lizenz erforderlich. Außerdem benötigen Sie für jeden EDR-Anbieter, den Sie anbinden, wie beispielsweise CrowdStrike oder Microsoft Defender, eine eigene, separate Lizenz und ein eigenes Konto.

Können EDR-Daten den Netzwerkzugriff blockieren und nicht nur eine Warnmeldung ausgeben?

Ja. In der Implementierung von „ Versa“ kann der aus EDR abgeleitete Risikowert eines Endpunkts als Übereinstimmungskriterium in Regeln für den sicheren clientbasierten Zugriff und den Internetschutz verwendet werden, wodurch der Netzwerkzugriff automatisch verweigert oder eingeschränkt wird, sobald der Wert einen konfigurierten Schwellenwert überschreitet.

Mehr zum Thema EDR

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über EDR informieren, sollten Sie sich als Nächstes diese Artikel ansehen.